Definition og idéen bag
En NAT-firewall kombinerer to funktioner: NAT (Network Address Translation) og firewall-logik. NAT oversætter typisk en lokal (privat) IP-adresse til en offentlig IP-adresse på routerens yderside, så mange enheder i et hjem eller på et lokalt net kan dele én offentlig adresse.
Firewall-delen begrænser samtidig, hvad der må komme ind udefra. I praksis sker det ofte ved at se på sammenhængen mellem indgående pakker og tidligere kommunikation, så uønskede forsøg udefra ikke automatisk får adgang til interne enheder.
Et enkelt model: udgående starter, indgående følger
En almindelig NAT-firewall fungerer i en “tilstandsmaskine”-model:
- En enhed på det lokale net starter en forbindelse udad til et system på internettet (for eksempel et websted).
- NAT ændrer adresser og ofte også porte på pakkerne, så trafikken ser ud til at komme fra routerens offentlige side.
- Firewall opretter en forbindelsestabel (state), hvor routeren registrerer, hvilke kombinationer af interne/eksterne adresser og porte der hører sammen.
- Når svarpakker kommer retur, matcher routeren dem mod forbindelsestabellen og tillader, at de sendes videre ind til den korrekte interne enhed.
Hvis der derimod kommer indgående trafik udefra, som ikke kan matches til en eksisterende state (for eksempel ingen tilsvarende udgående session), bliver den typisk blokeret eller droppet.
Hvad NAT-firewallen “afhænger af” i praksis
Selv om idéen er relativt stabil, kan adfærden variere mellem implementeringer og opsætninger. Følgende punkter forklarer hvorfor:
- Forbindelsestabelens regler og timeouts: State “udløber” efter en periode uden aktivitet. Det betyder, at trafik der ankommer efter udløb, ikke længere matcher.
- Hvilke protokoller og flags der understøttes: Nogle protokoller kræver mere end ren port- og adressematching. Derfor kan adfærd afvige.
- Portmappning/“åbninger” (hvis aktiveret): Hvis routeren konfigureres til eksplicit at videresende trafik til interne enheder (for eksempel for et specifikt behov), ændrer det billedet af “kun svar på udgående forbindelser”.
- Filtreringstype: Nogle opsætninger lægger vægt på session-match, andre kan også anvende mere generelle regler (for eksempel blokering efter bestemte kriterier). Uden konkrete konfigurationer kan man ikke antage detaljer.
Da der ikke er leveret specifikke dokumentationsuddrag for en konkret model eller producent, er det klogt at se NAT-firewallens adfærd som en “typisk” mekanisme snarere end en universel garanti.
Forskelle, grænser og vigtige undtagelser
NAT vs. firewall
NAT i sig selv er primært en adresseoversættelse. Firewall-funktionen er den del, der aktivt begrænser, hvilke indgående pakker der accepteres. En NAT-router kan derfor have mere eller mindre firewall-logik, og man bør skelne mellem de to.
“Stateful” filtrering har en konsekvens
En vigtig grænse er, at tilgangen afhænger af, om der findes en relevant udgående session. Det er derfor normale tilfælde, at:
- Websvar og andre svar til udgående forbindelser typisk kommer igennem.
- Uopfordrede indgående forsøg ofte blokeres.
Når man gør undtagelser bevidst
Hvis du konfigurerer port forwarding eller lignende muligheder, kan indgående trafik få en “vej” til en intern enhed. Det kan være nødvendigt for bestemte tjenester, men det betyder også, at NAT-firewallens standardbeskyttelse ikke gælder på samme måde for de porte/tjenester.
Praktisk måde at kontrollere forståelsen på
Du kan ofte validere din forståelse med simple, kontrollerbare observationer (uden at det kræver teknisk ekspertise):
- Test et almindeligt udgående scenarie: Åbn en side fra en intern enhed. Når forbindelsen etableres, vil routeren typisk tillade returtrafik, fordi den matcher state.
- Test manglende sammenhæng: Hvis du prøver at ramme en intern enhed udefra uden en eksisterende session (for eksempel uden passende portmappning), bør det normalt ikke lykkes.
- Observer ændringer efter inaktivitet: Genstart forbindelser eller vent længere end standardtimeout for at se, om indgående returtrafik stopper med at blive accepteret.
Hvis du har adgang til routerens menuer, kan du kigge efter begreber som “firewall”, “NAT”, “stateful inspection”, “connection tracking”, “port forwarding” og eventuelle “timeouts”. Ordlyden varierer, men de samme principper går igen.
Konklusion
En NAT-firewall fungerer typisk ved at oversætte interne adresser til en offentlig side (NAT) og samtidig kun tillade indgående trafik, der kan kobles til en eksisterende udgående forbindelse (stateful filtrering). Den giver en praktisk begrænsning mod vilkårlig indgående trafik, men dens præcise adfærd bestemmes af timeout-logik, protokolunderstøttelse og eventuelle bevidste åbninger som portmappning.